Zugreifen auf einen privaten Schlüsseltresor über Ihre Pipeline

Zugriff auf einen privaten Key Vault über Azure DevOps.

In diesem Abschnitt werden zwei Methoden für den Zugriff auf einen privaten Schlüsseltresor aus Azure DevOps behandelt.

Die erste Methode verwendet variable Gruppen, um geheime Schlüssel aus Ihrem Schlüsseltresor zu verknüpfen und zuzuordnen, gefolgt von der Einrichtung des eingehenden Zugriffs, indem statische IP-Bereiche zugelassen werden. Azure Pipelines verwendet beim Abrufen eines Schlüsseltresors aus einer Variablengruppe die öffentliche IP-Adresse von Azure DevOps, daher müssen Sie diese IP-Adressbereiche in der Firewall des Schlüsseltresors zulassen.

Die zweite Methode fügt die IP-Adresse des von Microsoft gehosteten Agents dynamisch zu Beginn der Pipeline zur Firewall-Zulassungsliste des Schlüsseltresors hinzu, fragt den Schlüsseltresor ab und entfernt die IP schließlich wieder. Diese Methode dient nur zu Demonstrationszwecken und wird nicht für den Produktionseinsatz empfohlen.

Schritt 1: Zuordnen von Key Vault-Geheimnissen mit einer Variablengruppe

Schritt 2: Konfigurieren des eingehenden Zugriffs von Azure DevOps

Nachdem Sie Ihre Variablengruppe konfiguriert haben, können Sie den eingehenden Zugriff von Azure DevOps zu Ihrem Schlüsseltresor zulassen, indem Sie die statischen IP-Bereiche für die geografische Region Ihrer Organisation hinzufügen.

1. Melden Sie sich bei Ihrer Azure DevOps-Organisation an.

2. Wählen Sie Organisationseinstellungen aus.

3. Wechseln Sie zur Übersicht , um den geografischen Standort zu finden.

   

4. Ermitteln Sie Ihre geografischen IPv4-Bereiche.

   Wichtig

   Stellen Sie sicher, dass für eingehende Verbindungen in die Vereinigten Staaten die IP-Bereiche für alle US-Regionen hinzugefügt werden.

5. Konfigurieren Sie Ihren Schlüsseltresor, um Zugriff über statische IP-Bereiche zu ermöglichen.

Schritt 3: Abfragen eines privaten Key Vaults mit einer Variablengruppe

Wenn Ihre Variablengruppe verknüpft und der eingehende Zugriff konfiguriert ist, verwenden Sie die folgende Pipeline, um Ihren privaten Schlüsseltresor abzufragen und das abgerufene Geheimnis zu kopieren. Azure Pipelines die öffentliche IP verwendet, um den Schlüsseltresor aus einer Variablengruppe abzufragen. Stellen Sie daher sicher, dass Sie den eingehenden Zugriff konfiguriert haben bevor Sie die Pipeline ausführen.

variables:
-  group: mySecret-VG

steps:
- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

Alternative Methode: Dynamisches Zulassen der IP-Adresse des von Microsoft gehosteten Agents

Bei diesem Ansatz fragt die Pipeline die ip des Microsoft gehosteten Agents beim Start ab, fügt sie der Zulassungsliste der Schlüsseltresorfirewall hinzu, führt die Aufgaben im Schlüsseltresor aus und entfernt dann die IP, bevor die Pipeline abgeschlossen ist.

- task: AzurePowerShell@5
  displayName: 'Allow agent IP'
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    azurePowerShellVersion: LatestVersion
    ScriptType: InlineScript
    Inline: |
     $ip = (Invoke-WebRequest -uri "http://ifconfig.me/ip").Content
     Add-AzKeyVaultNetworkRule -VaultName "YOUR_KEY_VAULT_NAME" -ResourceGroupName "YOUR_RESOURCE_GROUP_NAME" -IpAddressRange $ip
     echo "##vso[task.setvariable variable=agentIP]ip"

- task: AzureKeyVault@2
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    KeyVaultName: 'YOUR_KEY_VAULT_NAME'
    SecretsFilter: '*'
    RunAsPreJob: false

- task: AzurePowerShell@5
  displayName: 'Remove agent IP'
  inputs:
    azureSubscription: 'YOUR_SERVICE_CONNECTION_NAME'
    azurePowerShellVersion: LatestVersion
    ScriptType: InlineScript
    Inline: |
     $ipRange = $env:agentIP + "/32"
     Remove-AzKeyVaultNetworkRule -VaultName "YOUR_KEY_VAULT_NAME" -IpAddressRange $ipRange
  condition: succeededOrFailed()

Zugreifen auf einen privaten Schlüsseltresor über einen selbstgehosteten Agent

Um von einem Azure Pipelines-Agent auf einen privaten Schlüsseltresor zuzugreifen, verwenden Sie entweder einen selbst gehosteten Agent (Windows, Linux<> oder Mac) oder Virtual Machine Scale Sets Agents. Von Microsoft gehostete Agenten sind, wie andere allgemeine Computedienste, nicht in der Key Vault-Liste der vertrauenswürdigen Dienste enthalten.

Um die Konnektivität zu Ihrem privaten Schlüsseltresor herzustellen, konfigurieren Sie einen privaten Endpunkt für den Line-of-Sight-Zugriff. Dieser Endpunkt muss routingfähig sein, und sein privater DNS-Name muss vom selbst gehosteten Pipeline-Agent aufgelöst werden können.

Schritt 1: Konfigurieren des eingehenden Zugriffs von einem selbst gehosteten Agent

1. Befolgen Sie die Anweisungen zum Erstellen eines virtuellen Netzwerks.

2. Verwenden Sie im Azure-Portal die Suchleiste oben auf der Seite, um Ihren Azure Schlüsseltresor zu finden.

3. Wählen Sie Ihren Schlüsseltresor aus und gehen Sie dann zu Einstellungen>Netzwerkeinstellungen.

4. Wählen Sie Private Endpunktverbindungen und anschließend Erstellen aus, um einen neuen privaten Endpunkt zu erstellen.

   

5. Wählen Sie die Ressourcengruppe aus, in der das virtuelle Netzwerk gehostet wird, das Sie zuvor erstellt haben. Geben Sie einen Namen und einen Netzwerkschnittstellennamen für Ihre Instanz ein, und stellen Sie sicher, dass Sie dieselbe Region wie das zuvor erstellte virtuelle Netzwerk auswählen. Wählen Sie Weiteraus.

   

6. Wählen Sie für Connection-MethodeVerbinden mit einer Azure Ressource in meinem Verzeichnis aus. Wählen Sie für Resource-TypMicrosoft.KeyVault/vaults aus dem Dropdownmenü aus. Wählen Sie Ihre Ressource aus dem Dropdownmenü aus. Zielunterressource wird automatisch mit dem Wert Vault ausgefüllt. Wählen Sie Weiteraus.

   Screenshot, der zeigt, wie Sie die Registerkarte "Ressource" konfigurieren, wenn Sie eine neue private Endpunktinstanz für Ihren Azure Key Vault.

7. Wählen Sie auf der Registerkarte Virtual Network die virtual network und das Subnetz aus, das Sie zuvor erstellt haben, und lassen Sie die restlichen Felder als Standard. Wählen Sie Weiteraus.

8. Übernehmen Sie die Standardeinstellungen auf den Registerkarten DNS und Tags . Wählen Sie auf der Registerkarte Überprüfen + erstellen die Option Erstellen aus.

9. Nachdem Ihre Ressource bereitgestellt wurde, wechseln Sie zu Ihrem Schlüsseltresor und wählen Sie Einstellungen>Netzwerk>Private Endpunktverbindungen aus. Ihr privater Endpunkt sollte mit dem Verbindungsstatus als genehmigt aufgeführt werden. Wenn Sie eine Verknüpfung mit einer Azure Ressource in einem anderen Verzeichnis herstellen, müssen Sie warten, bis der Ressourcenbesitzer Ihre Verbindungsanforderung genehmigt.

   

Schritt 2: Zulassen Ihres virtuellen Netzwerks

Nachdem der private Endpunkt konfiguriert wurde, lassen Sie in den Firewalleinstellungen von Key Vault das virtuelle Netzwerk zu, auf dem Ihr selbstgehosteter Agent gehostet wird.

1. Wechseln Sie zum Azure-Portal, und suchen Sie dann Ihren Azure-Schlüsseltresor.

2. Wählen Sie "Netzwerkeinstellungen">aus, und stellen Sie sicher, dass Sie sich auf der Registerkarte "Firewalls" und "Virtuelle Netzwerke " befinden.

3. Wählen Sie Virtuelles Netzwerk hinzufügen>Vorhandene virtuelle Netzwerke hinzufügen aus.

4. Wählen Sie Ihr Abonnement im Dropdownmenü aus, wählen Sie das virtuelle Netzwerk aus, das Sie zuvor erstellt haben, und wählen Sie dann Ihre Subnetze aus.

5. Wählen Sie Hinzufügen und scrollen Sie dann zum Ende der Seite und wählen Sie Übernehmen aus, um Ihre Änderungen zu speichern.

   

Schritt 3: Abfragen eines privaten Key Vault über einen selbstgehosteten Agent

Wenn das virtuelle Netzwerk zugelassen ist, verwenden Sie die folgende Pipeline, um den privaten Schlüsseltresor über die verknüpfte Variablengruppe mithilfe eines selbstgehosteten Agents abzufragen:

pool: Self-hosted-pool

variables:
  group: mySecret-VG

steps:
- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

Wenn Sie Azure DevOps eingehenden Zugriff auf Ihren privaten Schlüsseltresor nicht gewähren möchten, verwenden Sie die Aufgabe AzureKeyVault, um den Schlüsseltresor direkt abzufragen. Stellen Sie in diesem Fall sicher, dass das virtuelle Netzwerk, das Ihren selbstgehosteten Agent hostet, in den Firewalleinstellungen von Key Vault zugelassen ist.

pool: Self-hosted-pool

steps:
- task: AzureKeyVault@2
  inputs:
    azureSubscription: '$(SERVICE_CONNECTION_NAME)'
    keyVaultName: $(KEY_VAULT_NAME)
    SecretsFilter: '*'

- task: CmdLine@2
  inputs:
    script: 'echo $(mySecret) > secret.txt'

- task: CopyFiles@2
  inputs:
    Contents: secret.txt
    targetFolder: '$(Build.ArtifactStagingDirectory)'

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'